RinHit

RinHit - framework di ricognizione per l'ecosistema macOS. Raccoglie artefatti dall'ecosistema Apple per costruire timeline di attività di rete, identità跨 dispositivo e correlazione della posizione fisica.

Questo è il modulo di ricognizione open-source. Il payload Swift closed-source (rinhit-agent) è usato internamente dal nostro redteam e non fa parte di questo repository.

Caratteristiche

• Ricognizione Reti Wi-Fi - Analizza com.apple.wifi.known-networks.plist (legacy) o usa networksetup (Data Vault su macOS 15+)
• Dispositivi Bluetooth - Dispositivi accoppiati, caching e connessi da com.apple.Bluetooth.plist
• Cronologia Dispositivi USB - Dispositivi USB collegati tramite ioreg (IOKit) e system_profiler
• Motore di Correlazione - Analisi incrociata degli artefatti:
  • Identità跨 dispositivo (hotspot iPhone + AirPods)
  • Modelli di viaggio (rilevamento Wi-Fi hotel/ospiti)
  • Impronta Casa/Ufficio (rilevamento router ISP)
  • Clustering temporale delle sessioni
• Geolocalizzazione BSSID Offline - Cache SQLite con importazione CSV Wigle
• Punteggio di Severità - Cloud Sync = high, hotspot mobile = medium, ecc.
• Output JSON - Report strutturati per analisi successive

Installazione

# Clona
git clone https://github.com/toxy4ny/rinhit.git
cd rinhit

# Compila
go build -o rinhit ./cmd/rinhit

# Oppure installa direttamente
go install ./cmd/rinhit

Utilizzo

Elenca i collector disponibili

./rinhit list

Esegui tutti i collector (richiede sudo per il Wi-Fi)

sudo ./rinhit scan -v

Esegui collector specifici

sudo ./rinhit scan -c wifi,bluetooth -v

Esegui con motore di correlazione

sudo ./rinhit scan --correlate -v

Salva il report in un file

sudo ./rinhit scan -o report.json

Database di geolocalizzazione

# Importa dump CSV Wigle
./rinhit geo import wigle-export.csv

# Cerca un BSSID
./rinhit geo lookup AA:BB:CC:DD:EE:FF

# Mostra statistiche della cache
./rinhit geo stats

Esempio di Output

{
  "generated_at": "2026-08-21T21:09:10Z",
  "hostname": "MacBook-Pro-test.local",
  "user": "root",
  "artifacts": [
    {
      "id": "wifi-ns-iPhone7",
      "collector": "wifi",
      "type": "wifi-network",
      "name": "iPhone7",
      "severity": "medium",
      "timestamp": "2026-08-21T14:09:10-07:00",
      "source": "networksetup",
      "data": {"ssid": "iPhone7", "source": "networksetup"},
      "tags": ["wifi", "network", "macos15-fallback", "mobile-hotspot", "cross-device"]
    }
  ],
  "summary": {
    "total_artifacts": 12,
    "by_severity": {"info": 11, "medium": 1},
    "by_collector": {"wifi": 12}
  },
  "data": {
    "correlations": [
      {
        "type": "mobile-hotspot",
        "confidence": 0.7,
        "description": "Mobile hotspot 'iPhone7' detected - indicates iPhone/iPad tethering usage",
        "artifact_ids": ["wifi-ns-iPhone7"],
        "tags": ["mobile-hotspot", "tethering", "cross-device"]
      }
    ]
  }
}

Architettura

rinhit/
├── cmd/rinhit/main.go          # Punto di ingresso CLI
├── pkg/
│   ├── collector/              # Interfaccia Collector e registro
│   │   ├── wifi/               # Collector artefatti Wi-Fi
│   │   ├── bluetooth/          # Collector dispositivi Bluetooth
│   │   └── usb/                # Collector dispositivi USB
│   ├── model/                  # Struct Artifact e Report
│   ├── parser/plist/           # Parsing Plist con fallback SIP
│   ├── reporter/json/          # Reporter JSON
│   ├── correlator/             # Motore di correlazione incrociata degli artefatti
│   └── geoloc/                 # Cache di geolocalizzazione BSSID offline

Estensione

Per aggiungere un nuovo collector, implementa l'interfaccia Collector:

type Collector interface {
    Name() string
    Description() string
    Collect(ctx context.Context) ([]model.Artifact, error)
    RequiresRoot() bool
}

Registralo in buildRegistry() in cmd/rinhit/main.go.

Note OPSEC

• RinHit opera in modalità sola lettura - nessuna modifica al sistema
• Su macOS 15+, il plist Wi-Fi è protetto da Data Vault - RinHit torna a networksetup (living off the land)
• La geolocalizzazione BSSID tramite API pubbliche può tracciare l'operatore - usa la cache SQLite offline per gli impegni sensibili
• Esegui con privilegi minimi quando possibile - solo il collector wifi richiede sudo

Roadmap

• Ricognizione reti Wi-Fi (plist + fallback networksetup)
• Dispositivi Bluetooth accoppiati/in cache
• Cronologia dispositivi USB (ioreg + system_profiler)
• Motore di correlazione (cross-dispositivo, viaggi, temporale)
• Importazione CSV Wigle offline + ricerca BSSID
• Analisi database TCC
• Attributi estesi di quarantena
• Ricerca metadati Spotlight
• Timeline Unified Logs
• Formato output SARIF
• Report Markdown leggibili dall'uomo

Licenza

MIT - vedi LICENSE.

"Proprio come il punteruolo perfora il frutto, depone le uova e recide il gambo per coprire le sue tracce, RinHit perfora l'ecosistema Apple, pianta la persistenza e corrode i confini di sicurezza dall'interno."